CVE-2026-109924

7.5

undici Allocation of Resources Without Limits or Throttling Vulnerability

CVSS: 7.5, hoch hoch CVSS v3.1
EPSS, nächste 30 Tage: 0.3% höher als 22.1% der bewerteten CVEs
Ausnutzung: Keine öffentlichen Belege
Veröffentlicht: 15. Okt. 2026vor 5 Tagen

Beschreibung

undici is an HTTP client library for Node.js. In versions 6.5.0 through 6.29.0, 7.0.0 through 7.30.0, and 8.0.0 through 8.12.1, its EventSource client can be driven to exhaust process memory by a malicious or compromised Server-Sent Events peer. By sending millions of tiny completed data fields with no blank event separator, or a single unfinished line split across many chunks, the parser retains a growing amount of per-field and per-chunk state that the byte-based maxEventSize and maxResponseSize limits do not bound, and because maxResponseSize is enforced on the compressed body before decompression, a small compressed response can expand into enough retained memory to terminate the process. An application only needs to maintain an EventSource connection to an untrusted peer, which controls only the response, and availability is the only impact. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, which bound the retained parser state independently of the byte limits, and users should upgrade to one of those versions or later. There is no workaround.

Details

Hersteller: Undici
Produkt: undici
Schwachstellentyp: CWE-770 (öffnet in einem neuen Tab)
Status: Analysiert
Aktualisiert: 19. Okt. 2026
Zugewiesen von: ce714d77-add3-4f53-aff5-83d477b104bb

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Referenzen 2

Advisories 2

Die Art der Referenz wird aus den NVD-Tags abgeleitet, wo vorhanden, sonst aus der Form der URL. Betrachten Sie sie als Hinweis.

Weitere CVEs von Undici

Alle CVEs von Undici in unserem Bestand

Derselbe Hersteller in unserem Bestand, kein bekannter Zusammenhang zwischen den Schwachstellen.

CVE-2026-109383 undici is an HTTP client library for Node.js EPSS 0.2% 9.1, kritisch
CVE-2026-109829 undici is an HTTP client library for Node.js EPSS 0.1% 9.1, kritisch
CVE-2026-109841 undici is an HTTP client library for Node.js EPSS 0.3% 7.5, hoch
CVE-2026-109932 undici Uncontrolled Resource Consumption Vulnerability EPSS 0.3% 7.5, hoch
CVE-2026-87029 undici is an HTTP client library for Node.js EPSS 0.3% 7.5, hoch
CVE-2026-84961 undici's BalancedPool constructor passes its entire options object through an internal deep-clone that serializes and reparses the value… EPSS 0.1% 9.1, kritisch
CVE-2026-84933 undici Exposure of Sensitive Information Vulnerability EPSS 0.3% 8.2, hoch
CVE-2026-85014 undici's experimental WebSocketStream client crashes the whole Node.js process when a remote peer closes the TCP connection without a… EPSS 0.4% 7.5, hoch

Über diese Seite hinaus

Ist CVE-2026-109924 in Ihrem Netzwerk?

Diese Seite zeigt, wie gefährlich CVE-2026-109924 allgemein ist. Ob sie auf einem Ihrer Geräte steckt, kann nur ein Scan Ihres eigenen Netzwerks sagen. Genau das tun unsere Systeme jeden Tag für die Unternehmen, die wir schützen.

EXYS7600 OCELOT

Finden, bevor Angreifer sie finden

Ocelot scannt Ihr Netzwerk nach Zeitplan und meldet jede gefundene Schwachstelle mit ihrer CVE-Kennung, ihrem CVSS-Wert und der Zahl Ihrer betroffenen Hosts. Ein Befund wie CVE-2026-109924 kommt mit den Geräten, die zu patchen sind.
EXYS7600 OCELOT entdecken
EXYS7950 KONDRA

Erkennen, wenn sie ausgenutzt wird

Bis der Patch eingespielt ist, überwacht Kondra Netzwerk, Ereignisse und Endpoints in Echtzeit. Es führt ein Inventar der auf jedem Endpoint installierten Software, und seine Regeln zur Anomalieerkennung melden, was ein Angreifer im Netz tut.
EXYS7950 KONDRA entdecken

Ihre Gefährdung prüfen

Zusammengestellt aus der NVD-2.0-API, dem CISA-Katalog Known Exploited Vulnerabilities und FIRST EPSS. Die Bewertungen entsprechen unserer letzten Erfassung am 20. Okt. 2026, nicht dem aktuellen Stand der Quellen.